Analityczne wykorzystywanie plików cookies
Krytyczna luka DNS rebinding w @zereight/mcp-gitlab do wersji 2.1.29
Luka DNS rebinding w @zereight/mcp-gitlab do wersji 2.1.29 umożliwia atak lokalnego dostępu. Aktualizuj do 2.1.30 i monitoruj sieć.
- CVSS
- 9.6 CRITICAL
- EPSS
- 43.85%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Serwer Model Context Protocol (MCP) dla GitLab w wersjach przed 2.1.30 narażony jest na atak DNS rebinding, umożliwiający złośliwej stronie internetowej przekierowanie żądań przeglądarki do lokalnego nasłuchu MCP ofiary. Luka wynika z braku skutecznej listy dozwolonych nagłówków Host i Origin, co pozwala na ominięcie kontroli i dostęp do ścieżki inicjalizacji MCP.
Wpływ biznesowy
Eksploatacja tej luki może prowadzić do nieautoryzowanego dostępu do lokalnego serwera MCP, co stwarza ryzyko ujawnienia danych lub manipulacji usługą. Operatorzy IT i właściciele infrastruktury powinni traktować tę lukę jako krytyczną, zważywszy na wysoki współczynnik CVSS 9.6, i podjąć działania minimalizujące ryzyko ataku DNS rebinding w środowiskach korzystających z @zereight/mcp-gitlab.
Rekomendowane działania administratora
Zaleca się niezwłoczne zweryfikowanie wersji @zereight/mcp-gitlab i aktualizację do wersji 2.1.30 lub nowszej, która zawiera poprawkę eliminującą lukę. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz ekspozycję serwera MCP w sieci oraz monitoruj logi pod kątem podejrzanych żądań z nietypowymi nagłówkami Host i Origin. Współpracuj z zespołem DataHouse, aby zweryfikować wersje oprogramowania i wdrożyć zarządzane aktualizacje oraz audyt sieciowy.